kdcom.dll: considerazioni e possibile soluzione

[daelril]

Salve ragazzi, scusatemi se mi dilungherò ma vorrei il vostro parere su una situazione abbastanza strana. Ieri mi si è presentato per la seconda volta nella vita del mio pc un problema col file KDCOM.dll, che è già stato trattato in questo forum ma senza grandi risultati. Dopo qualche ora ho trovato una soluzione abbastanza macchinosa ma che per me ha funzionato, lascerò scritto qui quello che ho fatto così qualcuno in futuro potrà beneficiarne.

Ho Windows 7 a 64 bit, processore AMD Phenom IIx4, 4 gb di ram ddr3 e scheda madre Asus M4A785TD-V evo.

Comincio col dire che il problema mi si è presentato mentre navigavo tranquillamente con Internet Explorer , a un certo punto il pc si riavvia da solo e dopo la schermata di caricamento mi esce un errore col file KDCOM.dll (Windows/system32/kdcom.dll), e sotto "Impossibile trovare la firma digitale per questo file". Mi era già successo una volta, quindi avevo messo da parte in un'altra partizione un kdcom.dll preso da un'installazione pulita di WIn7; tramite il cd di installazione navigo nelle varie cartelle e sostituisco il file incriminato, riavvio, ma niente.

Prima cosa strana, significa che non è il file in sè a causare problemi. Provo varie soluzioni piuttosto deboli, provo a ripararlo tramite il cd di installazione, cancello il file, ecc ecc, ma niente sembra funzionare.

A un certo punto mi rendo conto che, se il problema è che windows non riesce a trovare la firma digitale , posso disabilitare il controllo delle firme digitali al momento dell'avvio, e infatti a questo punto windows parte, ma è molto instabile...dopo 5 minuti blue screen e siamo punto e a capo.

A questo punto mi arrendo e decido di ripristinare un backup fatto a novembre del 2010 (fatto con Acronis True Image Home 2010), ma non prima di aver fatto un altro backup della partizione C sputtanata, in modo da recuperare i file in un secondo momento. Penso, se il problema riguarda il sistema operativo, riportarlo a 4 mesi fa dovrebbe risolvere. E invece niente, anche con un backup preso quando il mio pc non aveva mai neanche sentito parlare del file kdcom.dll il problema persiste identico.

Ultima soluzione, formatto e reinstallo Win7. Memore però delle mie esperienze passate, in cui per puro caso avevo fatto la stessa cosa, decido di verificare una teoria: ora windows 7 è pulito, qualsiasi impostazione è stata resettata, non ho neanche i driver della scheda video. Proviamo a ripristinare il backup di novembre e vediamo che succede. Dopo 20 minuti, il backup è ripristinato, avvio Windows e MIRACOLO, funziona. Quindi penso, perso per perso, ripristiniamo anche il backup sputtanato fatto ieri, male che vada riformatto. Doppio miracolo, funziona anche quello.

Quindi, dall'alto della mia ignoranza, capisco che quale che sia il problema non è legato al sistema operativo, nè al file kdcom.dll, ma a qualcosa più in profondità che è stata resettata nel momento in cui ho reinstallato Windows 7. Ma non mi viene in mente cosa possa essere, forse qualcuno di voi può capirlo.

Comunque, per chi ha già avuto questo problema, consiglio di fare quello che ho fatto io:

-Installate Acronis True Image Home (o quello che preferite, a me piace questo)
-Fate un backup una volta ogni tanto, non si sa mai
-Create anche il cd di avvio di Acronis, che vi permette di far partire il programma anche quando il sistema è completamente andato
-Qualora il problema dovesse presentarsi di nuovo, fate un backup della partizione col sistema operativo, formattate, reinstallare Windows e poi ripristinate il backup

Con me ha funzionato due volte, anche se mi piacerebbe capire in cosa consiste questo errore e spero che le informazioni che vi ho dato aiutino qualcuno di voi a fare luce su questo mistero.



P.S.: in un altro thread in questo forum a proposito di kdcom.dll, fu consigliato di visitare il sito siamogeek.com e di cercare informazioni lì. Questo è quello che dice il sito, magari può servirvi

TDL4 è la nuova versione di una famiglia di rootkit già noti che abbassa le difese di Windows a 64 bit contro il caricamento nel kernel di driver non firmati.

La prima parte del malware si annida nel MBR e modifica in memoria il parametro del kernel LoadIntegrityCheckPolicy e fa in modo che vengano accettati anche i driver non firmati in maniera digitale.

Questo permette al kernel di caricare una versione modificata di kdcom.dll, un componente del debugger del kernel. Le funzioni modificate dal malware esportate dalla DLL bloccano di fatto molti tentativi di debugging del rootkit.

Se la parte del rootkit caricata nel MBR non entrasse in azione, la DLL sostituita provocherebbe un errore tipo *** Windows is unable to verify the signature of the file \Windows\system32\kdcom.dll. Ma l’abbassamento del livello di sicurezza forza il kernel a non effettuare alcuna verifica.

A questo punto la porta è aperta per il caricamento di qualsiasi altra schifezza nel kernel.

E qui c'è una spiegazione interessante se capite l'inglese http://threatpost.com/en_us/blogs/td...tection-111610